Lỗ hổng 'SalesBleed' trong Salesforce Agentforce cho phép đánh cắp dữ liệu không cần tương tác

Salesforce vừa xác nhận đã vá xong ba lỗ hổng bảo mật nghiêm trọng trong Agentforce — nền tảng tác nhân AI (AI agent) của hãng. Nhóm nghiên cứu của Zenity Labs đặt tên cho nhóm lỗ hổng này là SalesBleed, bởi chúng cho phép kẻ tấn công chiếm quyền các tác nhân AI đáng tin cậy để đánh cắp dữ liệu quan hệ khách hàng (CRM) và phát tán lừa đảo.

Minh họa lỗ hổng trong Salesforce Agentforce

Cơ chế tấn công: Khi biểu mẫu thu thập khách hàng trở thành vũ khí

Điểm mấu chốt của SalesBleed nằm ở Web-to-Lead — cơ chế thu thập thông tin khách hàng tiềm năng chính thức của Salesforce, đồng thời cũng mở ra đường dẫn trực tiếp vào hệ thống CRM.

Kẻ tấn công chỉ cần chèn các chỉ thị độc hại vào một biểu mẫu Web-to-Lead. Những chỉ thị này sẽ "ngủ đông" cho đến khi một nhân viên yêu cầu tác nhân Agentforce xử lý biểu mẫu đó. Lúc này, tác nhân AI sẽ vô tình đọc dữ liệu độc hại và thực thi các lệnh ẩn mà kẻ tấn công đã cài sẵn.

Theo Zenity Labs, hai trong ba lỗ hổng SalesBleed có thể bị khai thác trong các cuộc tấn công đánh cắp dữ liệu không cần tương tác (zero-click). Lỗ hổng thứ ba cho phép kẻ tấn công biến tác nhân Agentforce thành công cụ phát tán tin nhắn lừa đảo.

Trusted URLs — Lớp phòng thủ bị vượt qua

Hai lỗ hổng đầu tiên bắt nguồn từ nhiều điểm yếu trong Trusted URLs — cơ chế bảo mật được thiết kế để ngăn Agentforce hiển thị URL và hình ảnh từ các nguồn không đáng tin cậy.

Zenity Labs phát hiện rằng dữ liệu độc hại từ biểu mẫu Web-to-Lead có thể được dùng để truy cập bảng dữ liệu khách hàng tiềm năng (leads) và tài khoản (accounts), sau đó lợi dụng thẻ hình ảnh HTML để tuồn dữ liệu CRM ra máy chủ của kẻ tấn công mà không cần bất kỳ cú nhấp chuột nào.

"Agentforce thông báo nội dung đã bị chặn bởi chính sách bảo mật của tổ chức, mặc dù dữ liệu CRM nhạy cảm đã được truyền tới máy chủ do kẻ tấn công kiểm soát", Zenity Labs cho biết.

Đáng chú ý, cơ chế Trusted URLs lẽ ra phải ngăn Agentforce truy cập và gửi dữ liệu đến các tên miền chưa được phê duyệt. Tuy nhiên, nhóm nghiên cứu phát hiện cơ chế này không nhận diện được tên miền cấp cao nhất (TLD) và các chuỗi ký tự đặc biệt có thể thao túng quá trình phân tích URL.

Tích hợp Slack mở thêm đường tấn công

Lỗ hổng thứ ba liên quan đến tích hợp giữa Agentforce và Slack. Khi một liên kết xuất hiện trên Slack, nền tảng này sẽ tự động truy xuất thông tin để hiển thị bản xem trước. Kẻ tấn công có thể lợi dụng điều này để tạo ra các liên kết được thiết kế đặc biệt, khiến Slack khởi tạo yêu cầu mang theo dữ liệu CRM gửi tới hạ tầng do chúng kiểm soát — ngay khi liên kết được hiển thị.

Nguy hiểm hơn, kẻ tấn công còn có thể lợi dụng Agentforce để biến tác nhân AI thành công cụ kỹ nghệ xã hội (social engineering). Vì tác nhân không xác định được người gửi tin nhắn, kẻ tấn công có thể dùng một biểu mẫu Web-to-Lead độc hại để chiếm quyền tác nhân và đăng tin nhắn lừa đảo lên nhiều kênh Slack nội bộ dưới danh nghĩa của chính tác nhân đó.

"Nhân viên nhận được tin nhắn từ một hệ thống đáng tin cậy đang vận hành bên trong nơi làm việc của họ, thay vì từ một người gửi bên ngoài xa lạ", Zenity Labs nhấn mạnh.

Những người dùng sập bẫy và nhập thông tin đăng nhập có thể vô tình trao cho kẻ tấn công quyền truy cập vào email, Slack, kho mã nguồn và nhiều ứng dụng doanh nghiệp khác thông qua danh tính bị xâm phạm.

Đã được vá, nhưng đặt ra câu hỏi lớn

Zenity Labs đã báo cáo các lỗ hổng SalesBleed vào ngày 1/6, và Salesforce xác nhận cả ba lỗ hổng đã được khắc phục vào ngày 19/8.

Biểu tượng an ninh mạng

Sự việc này là lời cảnh tỉnh cho các doanh nghiệp đang ngày càng tích hợp tác nhân AI vào quy trình làm việc. Khi các tác nhân AI được cấp quyền truy cập dữ liệu nhạy cảm và giao tiếp trong môi trường nội bộ, chúng trở thành mục tiêu có giá trị cao đối với kẻ tấn công. Một biểu mẫu đầu vào tưởng chừng vô hại cũng có thể là cánh cửa dẫn thẳng vào kho dữ liệu khách hàng của doanh nghiệp.

Đối với các tổ chức tại Việt Nam đang triển khai các nền tảng CRM có tích hợp AI, đây là dịp để rà soát lại chính sách Trusted URLs, kiểm soát chặt chẽ dữ liệu đầu vào từ biểu mẫu công khai và giới hạn quyền hạn của tác nhân AI trong hệ thống nội bộ.